| |
VSantivirus No. 1008, Año 7, Viernes 11 de abril de 2003
Peligro de spoofing con comandos DCC en el mIRC
http://www.vsantivirus.com/dcc-spoofing.htm
Por Redacción VSAntivirus
vsantivirus@videosoft.net.uy
mIRC es un amigable y muy utilizado cliente de IRC (Internet Relay Chat), con numerosas opciones y herramientas
(http://www.mirc.com).
Soporta el protocolo DCC (Direct Client to Client). DCC permite la transferencia directa entre dos computadoras.
"DCC Send" y "DCC Get", son los comandos que posibilitan el envío y recepción de archivos entre esas computadoras.
Cuando se usa "DCC Get", la ventana de diálogo del mIRC para mostrar el nombre del archivo a recibir está visualmente limitada a un determinado tamaño.
Si un usuario malicioso, utiliza el comando "DCC Send" con un nombre de archivo especialmente modificado, es posible disfrazar un peligroso ejecutable como un inocente archivo.
A esta técnica se la denomina "spoofing", hacer aparecer una cosa por otra.
En concreto, se puede crear un nombre más largo del visualizado por la ventana de diálogo que muestra el comando "DCC Get", ocultando la verdadera extensión.
Por ejemplo un nombre como este:
pelicula.mpg [aquí +100 caracteres especiales vacíos] .exe
Mostraría en la ventana de diálogo solo esto:
pelicula.mpg
El usuario podría pensar se trata de un archivo MPG (una película), y al intentar abrirla, se ejecutaría un programa, porque en realidad su extensión es .EXE.
Observaciones
Es importante hacer notar que esta técnica no es nueva, y la utilizan numerosos virus y gusanos para transmitirse vía e-mail. Deben existir muchas aplicaciones que son engañadas de este modo, dejando ocultas las extensiones potencialmente peligrosas.
Además, Windows oculta por defecto las extensiones más usadas (siempre lo hemos considerado un gran error), y para ver las extensiones como .EXE se debe configurar el sistema como se indica en "Mostrar las extensiones verdaderas de los archivos", al final de este artículo.
La solución
Se recomienda precaución al recibir archivos a través de los canales de IRC. Sólo acepte archivos que usted ha pedido, pero aún así, jamás los abra o ejecute sin revisarlos antes con dos o tres antivirus actualizados.
Jamás acepte archivos SCRIPT a través del IRC. Pueden generar respuestas automáticas con intenciones maliciosas.
En el caso del mIRC, mantenga deshabilitadas en su configuración, funciones como "send" o "get" y comandos como "/run" y "/dll". Si su software soporta cambiar la configuración de "DCC" para transferencia de archivos, selecciónelo para que se le pregunte siempre o para que directamente se ignoren los pedidos de envío o recepción de éstos.
Vea también:
Los virus y el IRC (por Ignacio M. Sbampato)
http://www.vsantivirus.com/sbam-virus-irc.htm
Mostrar las extensiones verdaderas de los archivos
Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:
1. Ejecute el Explorador de Windows
2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.
3. Seleccione la lengüeta 'Ver'.
4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.
5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.
En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.
En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.
6. Pinche en 'Aplicar' y en 'Aceptar'.
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
